漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04600
漏洞标题：通过支付宝付款获取用户真实姓名
相关厂商：阿里巴巴
漏洞作者： n0say
提交时间：2012-02-17 16:48
修复时间：2012-02-21 17:03
公开时间：2012-02-21 17:03
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-02-17： 细节已通知厂商并且等待厂商处理中
2012-02-21： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
通过支付宝付款获取真实姓名
详细说明：
年前听说那些被人脱烂的库被爆出来，信息无非就是user、password、email、phone等。
email在支付宝上属于登录帐号，"大部份"人应该都是绑定是身份证或者直白说就是认证的用户，其存在真实的姓名。通过"我要付款"就能获取到真实用户名，自从改进功能后，把姓变为*，算是一种有效的改善加固安全。
但还存在一种情况，付了款呢？我没去深入了解最低能付多少钱（1元我相信还是可以成功付的）付完了，真实用户名信息就自动获取到了。
虽然只是个名字，让人知道也无所谓，但遇到NB的社工，结果就不知道怎样了...
Ps:要付款肯定要花钱，当然如果能付0.0x之类的就无所谓了；
还有一点，付了款，对方也能看到你的真实姓名；
漏洞证明：
"我要付款" -> "向一人付款" -> 剩下的走流程，走完再在"我的支付宝" -> "帐户管理" -> "联系人" -> "最近交易的"就能得到完整的用户名。
修复方案：
类似咯，付款和收款方两边姓改*，最好就能让用户自己选择设置这个用户名的隐私项是否显示之类...
版权声明：转载请注明来源 n0say@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-02-21 17:03
厂商回复：
谢谢 路人甲 对阿里巴巴集团的支持。
漏洞Rank：3 (WooYun评价)
最新状态：
暂无
漏洞评价：
评论
-
这个提交N次了。地球人都知道了，为了辨认付款人或收款人。没办法
-
好像是补了之后还可以 还是有点用的
-
@子墨 我把你看成了 玉墨
-
依然可以看完整的姓名。算bug?
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)